1. Quem somos
O Agendoaki («Plataforma», «nós») é operado por Leonardo Vieira Carvalho (nome fantasia: Agendo Aki Tecnologia LTDA), inscrita no CNPJ sob o nº 58.145.512/0001-26, com operação digital sediada no Brasil.
Esta política descreve como recolhemos, utilizamos, armazenamos e partilhamos dados pessoais no âmbito dos nossos serviços, incluindo agendamentos, comunicação entre utilizadores e Estabelecimentos parceiros, e mensagens via WhatsApp (oficial e não oficial).
Para questões relacionadas com proteção de dados, contacte o Encarregado de Proteção de Dados (DPO) pelo e-mail: dpo@agendoaki.com.
2. Dados que recolhemos
Recolhemos os seguintes tipos de dados pessoais:
• Dados de conta e perfil: nome, e-mail, número de telefone, tipo de utilizador (cliente ou Estabelecimento), foto de perfil opcional.
• Dados de agendamento: serviço selecionado, data, horário, Estabelecimento escolhido, profissional (se aplicável), preço e estado do agendamento.
• Dados de comunicação via WhatsApp: quando um Estabelecimento utiliza a integração oficial com o WhatsApp (Meta Cloud API) ou a integração não oficial (WhatsApp Web via Baileys), recolhemos e processamos números de telefone, conteúdo de mensagens, carimbos de data/hora, estado de entrega e erros de envio. Estas mensagens podem incluir confirmações, lembretes, alterações e cancelamentos de agendamentos.
• Dados de pagamento: processados exclusivamente por parceiros certificados (Stripe, etc.); não armazenamos dados completos de cartão de crédito.
• Dados de utilização: páginas visitadas, ações na Plataforma, dados técnicos do dispositivo e navegador (endereço IP, tipo de browser, sistema operativo).
3. Bases legais e finalidades
Tratamos dados pessoais com as seguintes bases legais (LGPD):
• Execução de contrato ou diligências preliminares: criação de conta, realização de agendamentos, envio de comunicações transacionais sobre reservas (confirmação, lembrete, alteração, cancelamento).
• Legítimo interesse: segurança da Plataforma, prevenção a fraude, melhoria dos nossos serviços, análises internas e estatísticas agregadas.
• Consentimento: envio de comunicações de marketing, newsletters e ofertas promocionais. Pode gerir ou retirar consentimentos a qualquer momento nas configurações da conta ou através dos links de cancelamento de subscrição.
• Obrigação legal: cumprimento de obrigações fiscais, contabilísticas e regulatórias, resposta a autoridades competentes.
Quando um Estabelecimento utiliza a integração com o WhatsApp, atuamos como operador de dados em nome do Estabelecimento (controlador) para as mensagens enviadas. O Estabelecimento é responsável pela base legal do tratamento dos dados dos seus clientes nesse contexto.
4. Partilha com terceiros
Partilhamos dados pessoais com as seguintes categorias de destinatários:
• Estabelecimentos parceiros: quando agenda um serviço, o Estabelecimento recebe o seu nome, telefone, e-mail e detalhes do agendamento para poder prestar o serviço e contactá-lo operacionalmente (confirmação, atraso, alteração). O Estabelecimento é responsável pelo tratamento adicional desses dados.
• Meta Platforms, Inc. (WhatsApp Cloud API): quando um Estabelecimento ativa a integração oficial com o WhatsApp, as mensagens enviadas aos clientes são processadas através da infraestrutura da Meta (API da Nuvem do WhatsApp). A Meta atua como suboperador neste contexto. Os dados podem ser processados em servidores localizados nos Estados Unidos e noutras jurisdições onde a Meta opera. A Meta está certificada no EU-US Data Privacy Framework. Consulte a Política de Dados da Meta em https://www.facebook.com/policy.php.
• Prestadores de tecnologia: alojamento (Hostinger, Render, Vercel), envio de e-mail transacional (Brevo, anteriormente Sendinblue), processamento de pagamentos (Stripe), análise de dados, monitorização de erros. Todos os prestadores estão vinculados contratualmente a obrigações de confidencialidade e segurança.
• Autoridades competentes: quando exigido por lei, ordem judicial ou para proteger direitos, segurança e propriedade da Plataforma, dos seus utilizadores ou do público.
Não vendemos dados pessoais a terceiros para fins comerciais independentes.
5. Transferência internacional de dados
Os seus dados podem ser processados em servidores localizados fora do Brasil, incluindo Estados Unidos (Vercel, Render, Brevo, Meta, Stripe) e Europa (Hostinger). Adotamos as salvaguardas previstas na LGPD para transferências internacionais, incluindo cláusulas contratuais padrão quando aplicável, e escolhemos prestadores que aderem a programas de conformidade reconhecidos (como o EU-US Data Privacy Framework).
6. WhatsApp — Informações específicas
O Agendoaki oferece duas modalidades de integração com o WhatsApp, dependendo da escolha do Estabelecimento:
• WhatsApp Official (Meta Cloud API): o Estabelecimento conecta-se à sua conta empresarial do WhatsApp através de um fluxo de autenticação OAuth com o Facebook/Meta. As mensagens são enviadas via API oficial da Meta. A Meta processa estas mensagens conforme a sua própria Política de Dados e os Termos de Serviço da Plataforma Empresarial do WhatsApp. Os dados de mensagens, números de telefone e estados de entrega são armazenados em nossa base de dados e processados pela infraestrutura da Meta.
• WhatsApp não oficial (Baileys): o Estabelecimento autentica-se através de um código QR do WhatsApp Web. A sessão é armazenada de forma encriptada em nossa base de dados e as mensagens são enviadas através do nosso servidor de comunicação em tempo real. Esta modalidade está sujeita aos Termos de Serviço do WhatsApp.
Em ambos os casos, o Estabelecimento controlador decide quando e para quem envia mensagens, sendo responsável pela base legal aplicável. O Agendoaki atua como operador dos dados nesse fluxo de comunicação.
7. Retenção e segurança
Conservamos dados pessoais apenas pelo tempo necessário para cumprir as finalidades descritas nesta política ou conforme exigido por lei. Prazos típicos: dados de conta — enquanto a conta existir; dados de agendamento — até 5 anos após o último agendamento; mensagens WhatsApp — até 2 anos ou até o Estabelecimento solicitar eliminação; logs de acesso e erros — até 12 meses.
Após o prazo de retenção, eliminamos ou anonimizamos os dados de forma segura.
Adotamos medidas técnicas e organizativas razoáveis para proteger dados pessoais: encriptação em trânsito (TLS 1.2+) e em repouso (AES-256), controlo de acesso baseado em permissões, autenticação de dois fatores para acesso administrativo, monitorização contínua de segurança, backups regulares e testes de segurança periódicos.
Nenhum sistema é isento de risco. Em caso de incidente de segurança que possa causar risco relevante aos titulares, comunicaremos à ANPD e aos titulares nos termos da LGPD.
8. Seus direitos (LGPD)
Nos termos da Lei Geral de Proteção de Dados (Lei nº 13.709/2018), pode exercer os seguintes direitos: confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade dos dados a outro fornecedor de serviço; eliminação de dados tratados com consentimento; informação sobre partilha de dados; revogação do consentimento; oposição a tratamento baseado em legítimo interesse; revisão de decisões automatizadas.
Para exercer qualquer direito, envie um e-mail para dpo@agendoaki.com com o assunto «LGPD — Exercício de Direitos», descrevendo o direito que pretende exercer. Responderemos no prazo legal de até 15 dias.
Pode também apresentar reclamação ou petição à Autoridade Nacional de Proteção de Dados (ANPD) em https://www.gov.br/anpd.
10. Integrações e serviços de terceiros
A Plataforma inclui ligações para serviços de terceiros (redes sociais, gateways de pagamento, APIs de mensagens). Esta política não cobre o tratamento de dados por esses terceiros. Consulte as políticas de privacidade respetivas:
• Meta / WhatsApp: https://www.facebook.com/policy.php e https://www.whatsapp.com/legal/business-policy/
• Brevo (e-mail): https://www.brevo.com/legal/privacypolicy/
• Stripe (pagamentos): https://stripe.com/privacy
• Hostinger (alojamento): https://www.hostinger.com/privacy-policy
• Vercel (front-end): https://vercel.com/legal/privacy-policy
• Render (servidor em tempo real): https://render.com/privacy
11. Privacidade de menores
A Plataforma não se destina a menores de 13 anos. Não recolhemos intencionalmente dados de menores de 13 anos sem consentimento parental verificável. Se tomar conhecimento de que um menor nos forneceu dados sem consentimento parental, contacte-nos para que possamos eliminar esses dados.
12. Alterações a esta política
Podemos atualizar esta política periodicamente para refletir alterações nos nossos serviços, na legislação ou nas nossas práticas de tratamento de dados. A data de «Última atualização» indicada no topo será revista. Alterações significativas serão comunicadas por e-mail (quando aplicável) e/ou por aviso na Plataforma antes da sua entrada em vigor.
Recomendamos a consulta regular desta página. O uso continuado após alterações pode significar aceitação quando permitido por lei.